Voorbeeld verwerkersovereenkomst

Een verwerkersovereenkomst (DPA) is een juridisch bindend document dat de verwerking van persoonsgegevens reguleert tussen twee partijen: de verwerkingsverantwoordelijke (de partij die beslist waarom en hoe gegevens worden verwerkt) en de verwerker (de partij die de verwerking van gegevens uitvoert in opdracht van de verwerkingsverantwoordelijke). In Nederland is een verwerkersovereenkomst een essentieel onderdeel van het voldoen aan de Algemene Verordening Gegevensbescherming (AVG). Deze verordening beschermt de rechten en vrijheden van individuen en vereist een zorgvuldige behandeling van persoonsgegevens. In deze bijdrage ziet u een voorbeeld verwerkersovereenkomst, en gaat deze blog in op de belangrijkste elementen van een verwerkersovereenkomst, inclusief tips om aan alle wettelijke eisen te voldoen en de samenwerking tussen partijen goed te structureren.

Wie zijn de Partijen in een Verwerkersovereenkomst?

Een verwerkersovereenkomst is van toepassing op twee partijen:

• Verwerkingsverantwoordelijke: Dit is de partij die bepaalt welke gegevens worden verzameld, met welk doel en hoe ze worden verwerkt. Bijvoorbeeld: een bedrijf dat klantgegevens verzamelt voor marketingdoeleinden.
• Verwerker: Dit is de partij die de gegevens namens de verwerkingsverantwoordelijke verwerkt, zoals een IT-leverancier die de klantgegevens opslaat of verwerkt.

Het is belangrijk dat deze rollen duidelijk worden omschreven, omdat beide partijen specifieke verantwoordelijkheden hebben en er op deze manier geen misverstanden kunnen ontstaan over wie waarvoor verantwoordelijk is.

Wat Moet een Verwerkersovereenkomst Bevatten?

1. Definities: Duidelijkheid Scheppen

Het is cruciaal dat een verwerkersovereenkomst duidelijke definities bevat. Bijvoorbeeld:

• Persoonsgegevens: Dit omvat alle informatie die betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon, zoals naam, e-mailadres of IP-adres.
• Verwerking: Dit verwijst naar elke handeling die op persoonsgegevens kan worden uitgevoerd, zoals verzamelen, opslaan, wijzigen, raadplegen, of vernietigen.
• AVG: De Algemene Verordening Gegevensbescherming, die alle regels en voorschriften met betrekking tot de verwerking van persoonsgegevens in de EU regelt.

2. Doel en Reikwijdte van de Verwerking

In de verwerkersovereenkomst moet expliciet worden vermeld waarom de persoonsgegevens worden verwerkt en voor welk doel de verwerker de gegevens gebruikt. Voorbeelden hiervan zijn:

• Het doel van de verwerking: Bijvoorbeeld “gegevens worden verwerkt voor administratieve doeleinden” of “gegevens worden gebruikt voor het analyseren van klantgedrag”.
• Limieten van de verwerking: De verwerker mag de gegevens uitsluitend verwerken voor het doel dat in de overeenkomst is vastgelegd. Dit helpt bij het beperken van ongeautoriseerd gebruik van persoonsgegevens en zorgt ervoor dat wordt voldaan aan het principe van doelbeperking zoals vereist door de AVG.

3. Verplichtingen van de Verwerker

De verplichtingen van de verwerker moeten duidelijk worden omschreven. Dit omvat:

• Geen Zeggenschap over Doel en Middelen: De verwerker mag geen beslissingen nemen over het doel en de middelen van de verwerking. De verwerker moet de instructies van de verwerkingsverantwoordelijke strikt opvolgen.
• Beveiligingsmaatregelen: De verwerker moet passende technische en organisatorische maatregelen nemen om de persoonsgegevens te beveiligen tegen verlies of onrechtmatige verwerking. Voorbeelden zijn versleuteling, toegangscontrole, en back-ups.
• Informatieplicht: Indien een instructie van de verwerkingsverantwoordelijke volgens de verwerker niet in overeenstemming is met de AVG, moet de verwerker dit melden.

Door deze verplichtingen vast te leggen, kunnen beide partijen hun verantwoordelijkheden beter begrijpen en naleven.

Technische en Organisatorische Maatregelen: Hoe Waarborg je Beveiliging?

Een essentieel onderdeel van een verwerkersovereenkomst is de omschrijving van de technische en organisatorische maatregelen die de verwerker moet nemen om de gegevens te beschermen:

• Technische maatregelen: Dit omvat de encryptie van persoonsgegevens, strikte toegangscontrole, en het regelmatig maken van back-ups van de gegevens om verlies te voorkomen.
• Organisatorische maatregelen: Denk hierbij aan het opstellen van interne protocollen, trainingen voor personeel over privacyregelgeving, en het toewijzen van een functionaris voor gegevensbescherming.

De AVG vereist dat deze maatregelen regelmatig worden geëvalueerd en, indien nodig, worden aangepast om ervoor te zorgen dat ze blijven voldoen aan de nieuwste normen voor gegevensbescherming.

Verstrekking van Gegevens aan Derden

Het kan voorkomen dat persoonsgegevens worden verstrekt aan derden, bijvoorbeeld als de verwerker gebruikmaakt van een onderaannemer. In een verwerkersovereenkomst moet duidelijk worden geregeld onder welke voorwaarden dit mag gebeuren:

• Toestemming van de Verwerkingsverantwoordelijke: De verwerker mag persoonsgegevens alleen verstrekken aan derden met schriftelijke toestemming van de verwerkingsverantwoordelijke.
• Documentatie van Verstrekking: Elke verstrekking van gegevens aan derden moet worden gedocumenteerd, zodat kan worden gecontroleerd wie de gegevens heeft ontvangen en voor welk doel.

Door duidelijke afspraken te maken over de verstrekking van gegevens, blijft de verwerkingsverantwoordelijke in controle over de persoonsgegevens en wordt het risico op misbruik beperkt.

Sub-Verwerkers: Derden inschakelen

Een sub-verwerker is een derde partij die door de verwerker wordt ingeschakeld om specifieke verwerkingsactiviteiten uit te voeren. Het gebruik van sub-verwerkers brengt extra risico’s met zich mee, en daarom moet de verwerkingsverantwoordelijke hiermee akkoord gaan:

• Voorafgaande Schriftelijke Toestemming: De verwerker mag alleen een sub-verwerker inschakelen na voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke.
• Garantie van Naleving: De verwerker moet ervoor zorgen dat de sub-verwerker aan dezelfde verplichtingen voldoet als die in de verwerkersovereenkomst staan, zodat de bescherming van persoonsgegevens is gewaarborgd.

Dit proces zorgt ervoor dat de verwerkingsverantwoordelijke volledig op de hoogte is van alle betrokken partijen en de naleving van de AVG kan waarborgen.

Rechten van Betrokkenen: Toegang, Rectificatie en Verwijdering

Onder de AVG hebben betrokkenen verschillende rechten, zoals het recht op inzage, rectificatie en verwijdering van hun gegevens. Een goede verwerkersovereenkomst moet uitleggen hoe deze rechten worden gerespecteerd:

• Informatieplicht: De verwerker moet de verwerkingsverantwoordelijke onmiddellijk op de hoogte stellen als een betrokkene een verzoek doet met betrekking tot zijn of haar gegevens. Dit zorgt ervoor dat de verwerkingsverantwoordelijke tijdig kan reageren.
• Samenwerking: De verwerker moet volledige medewerking verlenen bij het afhandelen van verzoeken van betrokkenen, zoals inzage- of verwijderingsverzoeken.

Duidelijke afspraken over de rechten van betrokkenen helpen ervoor te zorgen dat aan alle wettelijke verplichtingen wordt voldaan en dat de privacy van individuen wordt gerespecteerd.

Meldplicht Datalekken

Datalekken kunnen ernstige gevolgen hebben voor zowel de betrokkenen als de organisaties die verantwoordelijk zijn voor de verwerking van gegevens. De verwerkersovereenkomst moet daarom een heldere meldplicht bevatten:

• Onverwijlde Melding: De verwerker moet datalekken direct, en in ieder geval binnen 24 uur, melden aan de verwerkingsverantwoordelijke. Dit stelt de verwerkingsverantwoordelijke in staat om snel in te grijpen en, indien nodig, een melding te doen bij de Autoriteit Persoonsgegevens.
• Details van het Incident: De melding moet informatie bevatten over de aard van het lek, de betrokken gegevens, en de getroffen maatregelen. Dit helpt de verwerkingsverantwoordelijke om een goed geïnformeerde beslissing te nemen over vervolgstappen.

Door de meldplicht goed te regelen, kunnen beide partijen adequaat reageren op datalekken en worden de risico’s voor betrokkenen beperkt.

Geheimhouding

Het waarborgen van de vertrouwelijkheid van persoonsgegevens is een van de belangrijkste verplichtingen van de verwerker:

• Geheimhouding door Medewerkers: De verwerker moet ervoor zorgen dat iedereen die toegang heeft tot de persoonsgegevens, zoals werknemers en sub-verwerkers, een geheimhoudingsverklaring heeft ondertekend.
• Geheimhouding na Beëindiging: De geheimhoudingsplicht blijft ook na beëindiging van de verwerkersovereenkomst van kracht. Dit voorkomt dat gegevens worden gedeeld zonder toestemming van de verwerkingsverantwoordelijke.

Deze verplichting zorgt ervoor dat persoonsgegevens niet worden misbruikt of ongeoorloofd worden gedeeld.

Beëindiging van de Overeenkomst en Teruggave van Gegevens

Bij de beëindiging van de verwerkersovereenkomst moeten er duidelijke afspraken zijn over wat er met de persoonsgegevens gebeurt:

• Teruggave of Vernietiging: De verwerkingsverantwoordelijke kan kiezen of de gegevens moeten worden teruggegeven of vernietigd. Indien vernietiging wordt gekozen, moet de verwerker dit schriftelijk bevestigen.
• Wettelijke Beperkingen: Indien de wetgeving vernietiging van gegevens verbiedt, moet de verwerker de gegevens veilig blijven bewaren en uitsluitend gebruiken voor zover dit noodzakelijk is om te voldoen aan de wettelijke verplichtingen.

Duidelijke afspraken over de beëindiging van de overeenkomst helpen om ervoor te zorgen dat persoonsgegevens op een veilige manier worden afgehandeld.

Aansprakelijkheid: Wie is Verantwoordelijk voor Schade?

Aansprakelijkheid is een belangrijk onderdeel van de verwerkersovereenkomst en bepaalt wie verantwoordelijk is voor schade in geval van niet-naleving:

• Verantwoordelijkheid van de Verwerker: De verwerker is aansprakelijk voor alle schade die voortvloeit uit het niet-naleven van de overeenkomst of het schenden van de AVG. Dit biedt de verwerkingsverantwoordelijke bescherming tegen fouten die door de verwerker worden gemaakt.
• Vrijwaring: De verwerker moet de verwerkingsverantwoordelijke vrijwaren van eventuele claims van derden als gevolg van schendingen door de verwerker. Dit omvat ook juridische kosten die de verwerkingsverantwoordelijke kan maken in verband met dergelijke claims.

Door aansprakelijkheid goed te regelen, kunnen beide partijen zich beter beschermen tegen risico’s en mogelijke financiële gevolgen.

Toepasselijk Recht en Geschillenbeslechting

Het is belangrijk om vast te leggen welk recht van toepassing is en hoe geschillen moeten worden opgelost:

• Nederlands Recht: Op de verwerkersovereenkomst is Nederlands recht van toepassing. Dit betekent dat alle rechten en verplichtingen worden beoordeeld volgens de Nederlandse wet.
• Geschillenbeslechting: Geschillen die voortvloeien uit de overeenkomst worden voorgelegd aan de bevoegde rechter in Nederland. Daarnaast kunnen partijen ervoor kiezen om eerst een mediator in te schakelen om te proberen het geschil op te lossen voordat ze naar de rechter stappen.

Duidelijke afspraken over geschillenbeslechting voorkomen onnodige juridische problemen en helpen bij het snel oplossen van conflicten.

Conclusie

Een goede verwerkersovereenkomst is essentieel om ervoor te zorgen dat persoonsgegevens op een veilige en verantwoorde manier worden verwerkt, in overeenstemming met de AVG en andere relevante wetgeving. Door aandacht te besteden aan de rechten en verplichtingen van zowel de verwerkingsverantwoordelijke als de verwerker, kunnen beide partijen hun verantwoordelijkheden effectief naleven.

Belangrijke onderdelen van een verwerkersovereenkomst zijn onder meer de definities, de doelstellingen van de verwerking, de beveiligingsmaatregelen, afspraken over het inschakelen van sub-verwerkers, de meldplicht bij datalekken, geheimhouding, en aansprakelijkheid. Het opnemen van deze elementen zorgt ervoor dat de verwerking van persoonsgegevens goed is geregeld en dat de rechten van betrokkenen worden beschermd.

Advocatenkantoor gespecialiseerd in verwerkersovereenkomsten

Heb je hulp nodig bij het opstellen van een verwerkersovereenkomst? MAAK Advocaten behartigt graag uw belangen en onze gespecialiseerde advocaten hebben de kennis en ervaring die u zoekt. Door cliënten worden we aanbevolen vanwege onze daadkrachtige, to-the-point en praktische oplossingen. Voor al uw vragen rondom een verwerkersovereenkomst staan we u dan ook graag bij met advies en juridische ondersteuning. Onze ervaren advocaat commercial law, Remko Roosjen, staat u graag als eerste te woord en hij bespreekt met u de zaak en de uitdagingen die voorliggen.

Heeft u een andere juridische vraag, dan kunnen onze advocaten in Amsterdam u mogelijk ook ondersteunen, of aan een geschikte partner doorverwijzen. Uw belang staat bij ons te allen tijde voorop en we zoeken graag naar praktische oplossingen en snel resultaat. Neem contact op met onze specialist contractenrecht in Amsterdam en ontdek uw mogelijkheden.

+31 (0)20 – 210 31 38
remko.roosjen@maakadvocaten.nl

De juridische informatie in deze blog is uitsluitend bedoeld voor algemene informatieve doeleinden, en geen juridisch advies door een advocaat. Hoewel wij als Nederlands advocatenkantoor in Amsterdam streven naar nauwkeurigheid en actualiteit van de verstrekte juridische informatie, kunnen onze advocaten niet garanderen dat alle informatie volledig, juist of actueel is en accepteren wij geen aansprakelijkheid. Voor persoonlijk juridisch advies, raadpleeg altijd een bevoegde juridische professional, zoals onze advocaten.